정부 브리핑에도 소액결제 피해 해킹방식 미스터리 증폭불법 기지국 ‘펨토셀’ 방식 유력, 해외에서도 사례 다수망 취약점 노린 것으로 추정, 타지역·타사 확장 가능성
  • ▲ ⓒKT
    ▲ ⓒKT
    정부가 KT 무단 소액결제 침해사고 브리핑을 진행했지만, 진상이 파악되지 않으면서 의혹이 점점 더 커지고 있다. 전문가들은 불법 초소형 기지국인 ‘펨토셀’이 범행의 주요 통로로 쓰였을 것으로 추정하고 있다. 

    11일 업계에 따르면 과학기술정보통신부는 KT 소액결제 피해 원인을 불법 초소형 기지국의 통신망 접속으로 보고 있다.

    다만 10일 진행된 정부 브리핑에서도 불법 초소형 기지국의 존재만 확인했을 뿐, KT 코어망에 접속하기 위한 키값과 인증절차를 어떻게 거쳤는지에 대해서는 밝히지 못했다. 현재까지 확인된 것은 KT 통신망에 미인가 기지국 ID가 있었다는 점이다.

    불법 초소형 기지국 장비인 ‘펨토셀’은 건물 내 통신 음영지역을 해소하거나 트래픽을 분산시키는 역할을 하며, 손바닥 정도 크기로 통상 벽에 부착돼 있다. 

    전문가들은 공공장소에 설치된 초소형 기지국을 탈취해 공격이 발생됐다는 분석을 내놓고 있다. 관리되지 않고 있는 소형 기지국을 탈취해 이를 모방한 가짜 기지국을 만들었을 것이라는 추정이다.

    해외에서도 알리익스프레스 등 웹사이트로 300만원 수준의 저렴한 가격에 가짜 기지국 역할을 할 수 있는 펨토셀을 활용한 범죄가 발생하는 추세다. 

    지난해 베트남 하노이에서는 차량형 가짜 기지국을 이용한 스팸과 금융사기 문자 발송 사례가 확인됐다. 필리핀에서는 중국인이 차량에 설치한 장비로 대통령궁 주변 휴대전화를 도청하다가 적발되기도 했다.

    가짜 기지국으로 위장한 펨토셀이 아파트 내부 통신 단자함 등에 설치돼 가입자 정보를 빼돌렸을 가능성이 제기된다. 휴대전화는 주변 기지국 중에서 가장 강한 신호가 잡히는 기지국에 연결되며, 정상 기지국처럼 작동하는 위장 펨토셀에 연결됐을 수 있다는 것이다. 그동안 아파트 주민 등 특정 지역 거주자들에 대한 공격이 동시 다발적으로 이뤄졌음을 감안하면 이런 가능성에 무게가 더 실린다.

    기지국으로 모방한 펨토셀을 통해 가입자 정보 탈취가 가능했던 것은 KT 문자메시지(SMS) 전송 방식에서 암호화 정도가 타사에 비해 낮기 때문이라는 분석이 제기된다. 

    김용대 카이스트 전자공학부 교수의 SNS 게시물에 따르면 KT의 SMS 구현방식은 SK텔레콤과 다르게 종단 암호화가 적용되지 않는다. 해킹된 펨토셀에서 암호화되지 않은 평문을 가로채 소액결제 OTP(일회용 비밀번호 발생기)를 탈취할 수 있다는 설명이다.

    전문가들은 펨토셀이 상용화되기 시작한 2010년대부터 펨토셀에 대한 보안 취약성을 지적한 바 있다. 2016년 한국정보처리학회 발표된 논문 ‘위협 모델링 기법을 이용한 펨토셀 취약점 분석에 대한 연구’에서도 펨토셀의 위험성이 거론됐다. 해킹 기술 발전으로 관리자 권한 획득과 같은 취약점이 발견되고 있으며 이를 통해 사용자에 대한 개인정보 노출 등 심각한 문제가 발생할 수 있다는 것이 골자다.

    전문가들은 이번 해킹 사태가 아직 제대로 파악되지 않았지만 대체로 KT 통신망에 보안 취약점이 있을 가능성을 제기했다. 펨토셀은 KT만 아닌 타사에서도 운영하는 만큼 타지역과 타사로 피해가 확대될 가능성도 여전하다는 설명이다.

    김명주 서울여대 정보보호학부 교수는 “인가받은 장비가 아닌데 코어망에 접속했다는 것은 통신망 운영에 취약점이 있다는 것”이라며 “망 운영할 때 하청업체를 많이 쓰게 되는데 일반인들이 알기 어려운 내용이어서 내부자나 협력사 관련된 사람이 주도했을 가능성도 있다”고 말했다.